安全研究员Mehmet Ince发文详述如何将PostgreSQL核心中存在22年之久的类型混淆原语转化为远程代码执行漏洞（CVE-2026-6460）。研究始于2026年4月，作者在评估托管PostgreSQL服务时先于pg_clickhouse扩展中实现代码执行，随后追问PostgreSQL核心如何理解自身数据类型。他借助名为pg_expert的Claude AI Agent作为导师，逐步掌握Datum、OID等内部机制，发现Datum本身不携带类型信息，类型完全由pg_type系统目录决定。关键突破来自一次关于SQL注入的闲聊：在PREPARE与EXECUTE之间的间隙中，攻击者可用ALTER TYPE修改复合类型的字段类型，使旧数据被以错误类型解析。作者构造UUID字节伪造ExpandedObjectHeader，劫持原生函数指针实现system()调用，并利用数组元素类型混淆泄露内存地址绕过ASLR。该漏洞最早可追溯至2004年5月的代码提交。作者共报告21个变体案例，11月9日PostgreSQL发布含52个CVE的大版本更新，其中6个与此研究直接相关。Databricks、Google AlloyDB、AWS Aurora/RDS、Microsoft Azure、Supabase等主流托管平台均受影响。漏洞报告者名单中还包括OpenAI安全研究团队与Anthropic的Nicholas Carlini，显示多家机构在AI时代独立发现了同一系统性弱点。
事件分析
技术层面，这是一条教科书级的类型混淆利用链：从PREPARE/EXECUTE执行间隙注入类型变更，到伪造ExpandedObjectHeader劫持间接函数调用，再到借数组元素类型混淆泄露指针绕过ASLR，每一步都精准克制且可复现。更大的看点在于研究范式：作者全程以Claude Agent为’导师’逐题攻克数据库内核知识，展示了AI辅助漏洞研究的完整工作流。产业层面，所有主流托管PostgreSQL平台无一幸免，部分厂商不等上游补丁、自行部署缓解措施，印证了’基础设施可外包、风险不可外包’的行业结构性矛盾。后续值得关注的是官方引入的复合类型属性版本化机制能否彻底封堵这一漏洞家族，以及AI驱动的安全研究是否会加速更多历史遗留缺陷的暴露。
核心观点：AI Agent正在重写漏洞研究范式：数据库内核知识平民化之下，连潜伏22年的老代码也无处遁形。
原文链接：Hacker News
